Sakura Internet a suspendu une partie de son service cloud mercredi en raison de deux failles critiques dans PHP. Plus tard dans la journée, la Première ministre Sanae Takaichi a appelé les opérateurs de sites web à appliquer les correctifs à leurs sites dans la nuit ou à les mettre temporairement hors ligne.

Dans un avis publié le 21 octobre à 13 h 22, heure du Japon, Sakura a annoncé le retrait des outils d’interface web de son service Database Appliance. Il s’agit de phpMyAdmin, phpPgAdmin et pgAdmin. Le service Database Cluster reste opérationnel. Sakura n’a pas indiqué de date de remise en service et, dans l’intervalle, a conseillé à ses clients d’utiliser des clients SQL compatibles avec MariaDB et PostgreSQL. L’entreprise a présenté ses excuses à ses clients pour cette interruption.

Sakura présente ses excuses aux utilisateurs pour les problèmes rencontrés

Cygames et pixiv ont également annoncé une maintenance d’urgence en raison des failles de PHP. PHP est largement utilisé dans le commerce électronique et d’autres applications web. L’appel de Takaichi a été publié sur X à 21 h 55, heure du Japon. Elle a déclaré qu’il s’agissait d’une demande d’intervention très urgente pour cette nuit-là et a demandé aux opérateurs de vérifier si leurs sites web publics utilisaient PHP. Elle leur a demandé de se préparer à déployer le correctif attendu à 23 h, heure du Japon. Elle a écrit que mettre temporairement un site web hors ligne était un moyen de réduire les risques si l’application rapide du correctif s’avérait compliquée.

Elle a également dirigé ses abonnés vers le compte sur X du Bureau national de la cybersécurité. Le bureau a annoncé à 22 h 57 que les mises à jour étaient disponibles et a exhorté les utilisateurs à les installer dès que possible. Il a averti que les sites non corrigés risquaient d’être piratés. Jeudi, la publication de Takaichi avait recueilli plus de 308 000 mentions J’aime et environ 78 000 republications. Versions corrigées : PHP 8.2.35, PHP 8.3.36, PHP 8.4.27, PHP 8.5.12.

Selon Cryptopolitan, des détails ont fuité ; les responsables de la maintenance de PHP ont donc publié les correctifs avec un jour d’avance. Les deux failles, surnommées « PHP2Shell » et identifiées sous les références CVE-2026-109618 et CVE-2026-109619, ont chacune obtenu un score de 9,2 sur 10 et pourraient permettre à des pirates d’exécuter du code sur des serveurs non corrigés. Le premier bogue exploite la façon dont PHP gère les situations de mémoire insuffisante. Le second exploite l’état d’une requête qui persiste après la libération de la mémoire qu’elle occupait.

L’avis de sécurité de PHP indique que toutes les installations qui traitent des requêtes web sont exposées. Cela concerne PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le projet considère mod_php comme la configuration la plus risquée, et une démonstration montre qu’une attaque peut être déclenchée avant même l’exécution du moindre code de l’application. Les correctifs ont été transmis à l’avance aux distributeurs Linux et aux fournisseurs de versions à support à long terme.

Le projet ne publiera plus de mises à jour pour PHP 8.1 et les versions antérieures. L’équipe de sécurité a toutefois fourni des rétroportages minimaux du code source pour PHP 7.4, 8.0 et 8.1. Environ 70 % des sites web dont le langage côté serveur est connu utilisent PHP. Le Japon, l’UE, les États-Unis, l’Allemagne, l’Australie et le Royaume-Uni ont également émis des avertissements. La Finlande, les Pays-Bas et la France ont mis hors ligne des sites web gouvernementaux par précaution. Nintendo a suspendu certains services pour appliquer le correctif.

L’article « Sakura Internet suspend ses outils cloud avant son appel concernant PHP » est d’abord paru sur Coinfea.